익명의 개발자 '칼레(Calle)'가 이끄는 자원봉사 보안 연구 그룹 '비트코인 레드팀'이 중국 스타트업 문샷AI(Moonshot AI)가 만든 AI 모델 키미 K3를 활용해 비트코인 오픈소스 생태계 전반의 취약점을 스캔하고 있다. 약 2주간의 감사 과정에서 지갑, 라이트닝 애플리케이션, 소프트웨어 라이브러리에 걸쳐 수천 건의 발견 사항을 기록했다.
팀이 집계한 누적 발견 건수는 약 390개 프로젝트에 걸쳐 7,958건에 달했고, 이 중 1,280건이 심각도 '높음' 또는 '치명적' 등급으로 분류됐다. 전체 데이터셋 가운데 약 24.7%는 동적으로 재현해 실제 문제임을 확인했고, 29.4%는 최신 집계 시점 기준 이미 해당 프로젝트 관리자들에게 보고까지 마친 상태였다. 다만 팀은 이 수치를 수천 건의 실제 취약점이 실서비스에 존재한다는 증거라기보다, 어디까지나 보안 심사 대기열로 봐 달라고 신중하게 선을 그었다.
왜 하필 중국산 AI 모델인가
키미 K3는 대규모 코드베이스를 분석하고 사람의 감독을 최소화한 채 장시간 소프트웨어 작업을 수행하도록 설계됐으며, 개발자가 다운로드해 자체 인프라에서 로컬로 구동할 수 있다. 칼레는 팀이 중국산 모델로 눈을 돌린 이유 중 하나로, 미국산 AI 모델들이 보안 연구 시나리오에 특화된 사용 제한을 걸어둔다는 점을 꼽았다. 이 같은 제약에 감사 과정에서 거듭 부딪힌 끝에, 그런 제약 없이 로컬에서 구동할 수 있는 모델로 갈아탔다고 설명했다.
그렇다고 AI가 내놓은 결과를 그대로 신뢰하는 방식은 아니다. 여전히 사람의 검토가 핵심 축을 이룬다. 키미 K3가 찾아낸 사항은 상위로 올리기 전에 사람 연구자가 먼저 검증하며, 신빙성이 확인된 취약점은 기술적 세부사항이 공개되기 전에 관련 프로젝트 관리자들에게 비공개로 전달돼 수정이 이뤄질 시간을 확보한다. 보안 연구 분야의 표준적인 책임 있는 공개 관행을 그대로 따르는 셈이다.
같이 보면 좋은 기사: MSCI, 스트래티지 지수 퇴출 검토…CEO는 “비트코인 더 산다”
대규모 AI 보조 감사의 예고편
칼레는 이번 2주간의 작업을 통해 현대 AI 모델이 수년간 쌓인 오픈소스 코드를 얼마나 빠르게 훑어낼 수 있는지 드러났다고 평가했다. AI 지원 검토를 염두에 두지 않고 짜인 오래된 소프트웨어와, 이제 그 코드를 대규모로 파싱할 수 있게 된 최신 프론티어 모델 사이의 '거대한 충돌'이라고 표현하기도 했다. 비트코인 코어 소프트웨어와 그 주변의 지갑·라이트닝 생태계는 그동안 상대적으로 소수의 전문 인력 감사자에 의존해왔다. 그런 만큼 대규모 코드베이스를 빠르게 선별해낼 수 있는 도구는, 비록 오탐률이 높더라도, 새로운 유형의 버그가 비트코인 오픈소스 스택 전반에서 얼마나 빨리 드러나는지를 상당히 바꿔놓을 잠재력이 있다. 다만 그 전제 조건은 사람의 검증 단계가 AI가 쏟아내는 발견 사항의 양을 따라잡는 것이다.
